Red Hat SummitResumen
Muchas empresas solo se centran en el canal de desarrollo de las aplicaciones a la hora de implementar el enfoque de DevSecOps, pero hay otras áreas que también deben tenerse en cuenta. El objetivo de combinar DevSecOps con las soluciones de Red Hat® no es solo ayudar a las empresas con dicho canal en un entorno en contenedores, sino también asistirlas en el diseño, la implementación y la ejecución de las aplicaciones con las prácticas de DevSecOps en los entornos tradicionales y de contenedores. De esta manera, podrán abordar los problemas de seguridad y los puntos vulnerables desde el inicio del ciclo de vida de la infraestructura y las aplicaciones.
Red Hat y nuestro ecosistema de partners de seguridad ofrecen un enfoque integral de DevSecOps para que las empresas puedan seguir generando innovaciones sin comprometer la seguridad. Contamos con la experiencia y la capacidad para ofrecer una cartera sólida de productos destinados al diseño, la implementación y la ejecución de las aplicaciones centradas en la seguridad en una nube híbrida abierta, lo cual nos permite ayudar a las empresas independientemente de la etapa del proceso de adopción de DevSecOps en la que se encuentren.
La importancia de DevSecOps
El enfoque de DevSecOps es complejo, especialmente por el crecimiento y el cambio permanentes de las herramientas y el proceso de DevOps en general. Además, hay otras medidas de seguridad del software y soluciones que permiten a las empresas implementar DevSecOps en las empresas según sus necesidades mediante el uso de tecnologías como los contenedores, Kubernetes y los servicios de nube pública para desarrollar aplicaciones modernas.
Los equipos de desarrollo y de operaciones deben integrar la seguridad de la información, incluida la seguridad de Kubernetes y los contenedores, al ciclo de vida de la infraestructura y las aplicaciones desde el principio. El personal debe preservar la infraestructura esencial de la TI, desarrollar y ejecutar aplicaciones centradas en la seguridad, proteger la información confidencial y adaptarse a los cambios.
Gracias al enfoque de DevSecOps, los equipos de seguridad y de TI abordan los incidentes de seguridad relacionados con el personal, los procesos y las tecnologías para trabajar con mayor velocidad, eficiencia y seguridad, y mejor uniformidad, colaboración y capacidad de repetición. Más específicamente, DevSecOps:
- Mejora la seguridad y disminuye los riesgos al eliminar más puntos vulnerables desde el inicio del ciclo de vida de la infraestructura y del desarrollo de las aplicaciones, lo cual reduce los problemas potenciales en la etapa de producción.
- Aumenta la eficiencia y agiliza los ciclos de lanzamiento de DevOps al eliminar las prácticas y las herramientas de seguridad heredadas; aplicar la automatización; adoptar una cadena de herramientas de manera integral; e implementar la infraestructura como código, la seguridad como código y el cumplimiento como código para mejorar el proceso de desarrollo con capacidad de repetición y uniformidad.
- Disminuye los riesgos y aumenta la supervisión al implementar controles de seguridad desde el inicio del ciclo de vida de la infraestructura y del desarrollo de las aplicaciones. Por lo tanto, se reduce la probabilidad de que se cometan errores humanos y se mejoran la seguridad, el cumplimiento normativo y las capacidades de anticipación y repetición, lo que a su vez se traduce en menos problemas de auditoría.
Recursos de Red Hat
DevSecOps: más allá del ciclo de vida de las aplicaciones
La implementación exitosa de DevSecOps comienza antes del canal de desarrollo de la aplicación. El primer paso para las empresas es asegurarse de que sus aplicaciones e infraestructura se ejecuten en un software con herramientas y funciones de seguridad integradas. Además, deben implementar una estrategia de automatización uniforme en toda la empresa para obtener un mayor control de sus entornos, lo cual es fundamental en el proceso de DevSecOps.
La automatización les permitirá desarrollar aplicaciones centradas en la seguridad y adoptar las prácticas de DevSecOps desde el inicio del ciclo de vida de la infraestructura y del desarrollo.
La mayoría de las empresas se centran en el proceso de desarrollo de las aplicaciones a la hora de implementar el enfoque de DevSecOps, pero hay otras áreas que también deben tenerse en cuenta. Con Red Hat y nuestro ecosistema de partners de seguridad, las empresas pueden diseñar, desarrollar, implementar y ejecutar las aplicaciones centradas en la seguridad con las prácticas de DevSecOps en los entornos tradicionales y en contenedores.
Ayudamos a todos los clientes, independientemente de la etapa del proceso de adopción de DevSecOps en la que se encuentren, la cual se puede determinar con el siguiente modelo de progreso en niveles:
- Principiante: todo el proceso es manual, desde el diseño hasta la implementación de las aplicaciones. Los equipos de desarrollo de aplicaciones, de seguridad y de operaciones de TI e infraestructura generalmente trabajan por separado, así que hay muy poca colaboración entre ellos.
- Intermedio: la empresa adoptó una cadena de herramientas de manera integral para implementar la infraestructura como código, la seguridad como código y el cumplimiento normativo como código gracias a la automatización uniforme en toda la empresa.
- Avanzado: la empresa automatizó la infraestructura y el desarrollo de las aplicaciones, y busca mejorar los procesos, para lo cual adopta procesos de desarrollo, aumenta la automatización actual e implementa DevSecOps según lo considere necesario, con tecnologías como los contenedores, Kubernetes y los servicios de nube pública. También utiliza las técnicas avanzadas de implementación, el autoservicio y el ajuste automático para implementar las aplicaciones según sea necesario en un entorno dinámico y propiciar la distribución de software constante.
- Experto: la empresa adopta un enfoque cuyo objetivo final es usar las interfaces de programación de aplicaciones (API) en un entorno de nube. Evalúa o utiliza modelos tecnológicos como la informática sin servidor y los microservicios, y aprovecha la inteligencia artificial y el machine learning (aprendizaje automático) para tomar decisiones sobre las pruebas de seguridad y el desarrollo de las aplicaciones.
Red Hat puede ayudarte
Gracias a las funciones de seguridad integradas a nuestra cartera de productos open source, los equipos de seguridad, desarrollo, arquitectura y operaciones de TI pueden implementar la seguridad en capas con mayor facilidad en las primeras etapas del desarrollo de las aplicaciones y en la stack y el ciclo de vida de la infraestructura para adoptar el enfoque de DevSecOps. Estos son algunos de los métodos que empleamos.
Medidas de seguridad básicas para DevSecOps
Con Red Hat Enterprise Linux®, ofrecemos medidas de seguridad básicas a partir de las cuales las empresas pueden ejecutar las aplicaciones actuales y desarrolladas en la nube de manera uniforme en diversos entornos: virtuales, de servidores dedicados (bare metal), de nube y de contenedores. Red Hat Enterprise Linux proporciona tecnologías de aislamiento importantes para la seguridad, técnicas sólidas de cifrado, gestión de identidades y acceso, seguridad de la cadena de suministro de software y certificaciones de seguridad validadas de forma independiente que se necesitan para los flujos de trabajo de DevSecOps.
Las soluciones open source que se ejecutan en Red Hat Enterprise Linux, como Red Hat OpenShift®, Red Hat OpenStack Services on OpenShift® y Red Hat Data Services, heredan los beneficios de seguridad de la base que brinda RHEL.
Complementa todo eso con Red Hat Application Foundations, que ofrece una amplia variedad de funciones de seguridad de aplicaciones listas para usar, como los protocolos de autenticación estándares del sector, la función Single Sign-On (SSO), la gestión de identidades y el control de acceso basado en funciones (RBAC). Desarrolla y moderniza los sistemas de software en los entornos híbridos y multicloud según lo necesites y teniendo en cuenta la seguridad.
Estandarización de los flujos de trabajo y los procesos con la automatización de la TI
Las herramientas, las prácticas y los procesos diversos de DevSecOps pueden perjudicar la colaboración, la supervisión y la productividad, así como aumentar la probabilidad de que se cometan errores humanos. La automatización de las operaciones del ciclo de vida representa una excelente oportunidad para crear marcos, flujos de trabajo y procesos uniformes y repetibles que simplifiquen las interacciones entre los equipos de desarrollo de software, de infraestructura de TI y de seguridad.
Red Hat Ansible® Automation Platform utiliza un lenguaje único y comprensible para las personas e incluye todas las herramientas, los servicios y la capacitación que se necesitan para implementar la automatización en toda la empresa. Además, ofrece una base unificada y sencilla para esa tarea, la cual facilita la colaboración, la transparencia y la uniformidad en todos los aspectos del entorno de TI de tu empresa, desde las aplicaciones y la seguridad hasta las redes y la infraestructura.
DevSecOps según tus necesidades con imágenes, contenedores, clústeres y Kubernetes
Con OpenShift, las empresas pueden diseñar, implementar, ejecutar y gestionar las aplicaciones centradas en la seguridad y desarrolladas en la nube en función de sus necesidades. Más específicamente, OpenShift Platform Plus se basa en la plataforma central e incluye Red Hat Advanced Cluster Security for Kubernetes, Red Hat Advanced Cluster Management for Kubernetes y Red Hat Quay.
Estas tecnologías permiten que las empresas incorporen las comprobaciones de seguridad a sus canales de integración y distribución continuas (CI/CD) para proporcionar a los desarrolladores análisis de los puntos vulnerables y verificación de las políticas directamente desde estos canales, proteger las cargas de trabajo y la infraestructura de Kubernetes de los errores de configuración y del incumplimiento normativo, e implementar la detección de las amenazas y las medidas de respuesta durante el tiempo de ejecución.
Red Hat Advanced Cluster Security for Kubernetes permite proteger las cargas de trabajo en contenedores y Kubernetes en todas las plataformas híbridas y de nube más importantes. La plataforma, que se puede implementar como una solución de software como servicio (SaaS) completamente gestionada, ayuda a eliminar las amenazas, proporciona análisis y seguridad permanentes y protege la infraestructura de Kubernetes. Red Hat Advanced Cluster Security for Kubernetes está incluida en Red Hat® OpenShift® Platform Plus, un conjunto completo de herramientas eficaces y optimizadas que protegen y gestionan tus aplicaciones.
OpenShift Platform Plus se basa en la seguridad y las operaciones integrales y automatizadas, por lo que ofrece una experiencia uniforme en todos los entornos. Su optimización permite mejorar la productividad de los desarrolladores y sus procesos, así como garantizar que toda la cadena de suministro de software se centre en la seguridad y cumpla con las normas. Los equipos de operaciones, desarrollo y seguridad utilizan OpenShift Platform Plus para trabajar juntos de manera más eficiente y llevar sus ideas de la etapa de desarrollo a la de producción y, así, desarrollar aplicaciones de nube modernas.
Las compilaciones, los canales y las prácticas de GitOps que incluye Red Hat OpenShift proporcionan los elementos necesarios para ejecutar las compilaciones de código fuente y los paquetes de aplicaciones en OpenShift. También brindan un marco flexible para conectar las tareas relacionadas con la seguridad al canal de CI/CD.
Red Hat Application Services ofrece una amplia variedad de funciones de seguridad de aplicaciones listas para usar, como los protocolos estándares del sector (p. ej., OAuth/OpenID, tokens JWT), la función Single Sign-On (SSO), la gestión de identidades, el control de acceso basado en funciones (RBAC), la autenticación de los clústeres y el cifrado en ellos.
Ecosistema de partners de seguridad de Red Hat
Gracias a nuestro ecosistema de partners de seguridad, los clientes pueden ampliar y mejorar las funciones para proteger sus aplicaciones e infraestructura con las prácticas de DevSecOps. Además, la combinación del ecosistema con nuestra cartera de productos y servicios les permite afrontar desafíos de seguridad importantes:
- cumplimiento normativo y control;
- gestión de identidades y de acceso;
- gestión de los puntos vulnerables y de la seguridad;
- seguridad de la plataforma;
- controles de red;
- controles de datos;
- controles de seguridad;
- análisis y protección del tiempo de ejecución;
- registro y supervisión;
- resolución de problemas.
El blog oficial de Red Hat
Obtenga la información más reciente sobre nuestro ecosistema de clientes, socios y comunidades.
